Насколько правильно использовать package rate против ddos атак?

Question

[NubasLol]

Правильно ли будет использовать пакет https://github.com/didip/tollbooth для защиты от ddos атак?И если нет, то почему..?

Answer 1

[Папа Стифлера]

Рейтлимитеры предназначены не для защиты от (D)DoS-атак, а для ограничения количества запросов на эндпоинт(ы) в единицу времени. А если на ваш сервак пустят хороший поток UDP-трафа, то вас не спасет ни какой рейтлимитер, т.к. до него даже дело не дойдет.

Comments

[NubasLol]

Какой есть способ организовать защиту от ddos на golang?

[NubasLol]

И я правильно понял, миделваре-рейтлимитер даже не будет включен в работу, сервер раньше упадет?

[Папа Стифлера]

NubasLol, раз вы задаете такой вопрос, то ответ будет один - никакого. На рынке есть комплексные программно-аппаратные решения для подобного рода защиты. Лучше пользуйтесь ими.

[NubasLol]

Папа Стифлера, можете хотя бы в общем обьяснить, почему Рейтлимитер не сработате?

[Папа Стифлера]

И я правильно понял, миделваре-рейтлимитер даже не будет включен в работу, сервер раньше упадет?

Сервак может и не упадет, а вот канал вам полностью забьют мусорным трафиком. А поскольку middleware работают для протокола HTTP(S), то до них и дело не дойдет. Они нужны для регулирования легитимного трафика, чтобы конечные пользователи не злоупотребляли ресурсами сервера, но не спасут от более-менее серьезной атаки. Разве что от школьников.

[NubasLol]

Папа Стифлера, Спасибо.

Я тут подумал, что я дал не полную информацию. Рейтлимитеры на reverse-proxy сервере ведь по идее то что нужно? это защита http, а другие виды атак сам proxy будет отбивать, и там уже можно специальное по развернуть.

Правильно думаю?

[Папа Стифлера]

... Правильно думаю?

Нет. Забит канал - прокси не спасет. Только разделение легитимного трафика и мусорного, а это уже другая тема. Это сложно и дорого.

[alfss]

NubasLol, От простых атак на HTTP endpoint может помочь , улучшить ситуацию, от другого вида атак нужно искать другое решение. Ограничивать не в коде go приложения а на reverse proxy правильное решение. Если у вас проблема в том, что сервер не справляется, а ресурсов выделить больше вы не можете, то это решит задачу на Какое-то время. Но если вас правда атакуют, тут нужны комплексные меры и дешевле будет договориться с конторой которая занимается защитой от таких новостей. Если денег на это нету, смиритесь с отсутствием доступности сервиса.